如何通过 OpenVPN 访问单台本地机器？

Question

您需要为10.8.0.0/24（网关所在的位置192.168.1.88，即Rasp.PiOVPN 服务器）添加一条到NAS或ROUTER（当然，在这种情况下假设ROUTER是的默认网关NAS）的路由，以便NAS/ROUTER知道将回复流量引导到哪里。

如果不能，您将需要使用/ SNAT（或者，当然）来执行，以便来自 VPN 客户端的所有流量看起来都来自服务器。MASQUERADEiptablesnftablesRasp.Pi

客户端不能能够访问除 Raspberry 和 NAS 本身之外的任何机器。

确保使用限制转发流量iptables。一旦启用了 IP 转发Rasp.Pi（必须启用，否则 VPN 客户端将无法访问其 LAN），客户端可以添加他/她需要的任何路由以到达服务器 LAN 中的某个主机，因此，不推送某条路由并不能帮助您实现此目标。

更新：

要启用 IP 转发（并使设置在启动时持久）：

sysctl -w net.ipv4.ip_forward=1
echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf

仅允许在这种情况下您需要的转发（eth0并tun0假定）：

iptables -F FORWARD
iptables -P FORWARD DROP
iptables -A FORWARD -m conntrack --ctstate NEW -i tun0 -s 10.8.0.0/24 -o eth0 -d 192.168.1.20 -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

对通过发出的流量执行源 NAT 转发（这样您就不必在NAS/上配置返回路由ROUTER）eth0：

iptables -t nat -F POSTROUTING

（如果您还需要链中的其他规则，请跳过上述内容）

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

或者，如果的 IPeth0在一段时间内持续存在/启动：

iptables -t nat -A POSTROUTING -o eth0 -j SNAT 192.168.1.88

PS 如果您想刷新您接触过的桌子，您可以执行以下操作：

for i in $(cat /proc/net/ip_tables_names); do iptables-restore /usr/share/iptables/empty-"$i".rules; done

还要注意，iptables命令在启动时不是持久的，因此您需要将规则保存到文件中iptables-save（并通过某种方式配置您的系统以在启动时恢复它们）。

更新 2：

您确实应该查看上面的内容，了解如何正确配置链FORWARD（在filter表中）。如果没有策略（或末尾的DROP“默认”规则），任何规则都是无用的。（而且一旦您修复了该部分，您的规则就不够了）DROPACCEPTDROP

为了避免子网（更准确地说是路由）冲突，最好推送主机路由（无论如何这都是您所需要的）而不是子网路由，因此您应该（实际上可以省略子网掩码）代替，因为客户端主机具有到 LAN 主机（默认网关除外）的主机路由的可能性要低得多（在 Linux 上，当为接口分配push "route 192.168.1.20 255.255.255.255"非地址时，始终会添加子网路由）。/32

您还可以例如push "route 10.8.1.1"将DNAT目的地设置为192.168.1.20on Rasp.Pi，以应对客户端上已经存在路由的特殊情况192.168.1.20（您仍然可以使用进行访问NAS）10.8.1.1：

iptables -t nat -A PREROUTING -d 10.8.1.1 -j DNAT --to-destination 192.168.1.20

Answer 1